crimsonfiedofficial/cve-2026-29114Dahua CVE-2026-29114
نوع الإعلان: إفصاح أمني منسّق مع البائع
معرّف CVE: CVE-2026-29114
البائع: Dahua Technology
تاريخ النشر: 2026-06-10T05:44:50 UTC
آخر تعديل: 2026-06-10T05:44:50 UTC
المصدر: مركز Dahua للأمن (PSI) Trust Center
تم تحديد ثغرة منخفضة الخطورة في الثقة بالشهادات في طرز مختارة من كاميرات Dahua IPC (كاميرا IP). في ظل ظروف نشر معينة، يمكن لمهاجم عن بُعد الحصول على شهادة الجذر CA الداخلية للجهاز — وهي مادة يجب أن تبقى خاصة بالتسلسل الهرمي لسلطة الشهادات.
إذا كانت شهادة الجذر CA تلك (أو شهادة وسيطة مشتقة منها) مثبّتة وموثوقة على محطات عمل العملاء، أو المتصفحات، أو البرمجيات الوسيطة، فإن المهاجم الذي يمتلك مادة المفتاح الخاص يمكنه سكّ شهادات X.509 احتيالية تقبلها برامج التحقق لدى العملاء كشهادات شرعية. وهذا يتيح هجمات الرجل في المنتصف (MITM) ضد جلسات HTTPS أو TLS المحمية التي ترتبط سلسليًا بمرساة الثقة المخترقة، مما يقوّض السرية والسلامة لاتصالات العملاء المتأثرة.
النتيجة الأساسية المنشورة لـ CVSS 4.0 هي 2.3 (منخفضة). تعكس النتيجة المنخفضة نسبيًا الشروط المسبقة للنشر (AT:P — متطلبات هجوم موجودة) وتفاعل المستخدم السلبي (UI:P) اللازم لتحقيق أثر عملي، بالإضافة إلى تصنيف منخفض (وليس مرتفعًا) للسرية والسلامة المباشرتين على الجهاز المعرض للخطر نفسه. التوافر غير متأثر (VA:N).
يجب على المؤسسات التي تشغّل إصدارات البرنامج الثابت (firmware) المتأثرة لكاميرات IPC قبل 15 أبريل 2026 التحقق مما إذا كانت شهادات CA الصادرة عن الجهاز قد وُزّعت على نقاط النهاية، وإزالة الجذور غير الموثوقة من مخازن الثقة لدى العملاء، وتدوير إعدادات TLS، وترقية البرنامج الثابت.
ملاحظة حول تسمية الإعلان: تُعنون بعض الفهارس هذه الثغرة باسم "اختراق بيانات Dahua". يخص وصف البائع كشف شهادة الجذر CA للجهاز وإساءة استخدام الثقة في البنية التحتية للمفاتيح العامة (PKI) — وليس سرقة كميات كبيرة من الفيديو المسجّل أو قواعد بيانات العملاء. تتبع هذه الوثيقة وصف البائع وبيانات تقييم CVSS.
| الحقل | القيمة |
|---|---|
| معرّف CVE | CVE-2026-29114 |
| البائع | Dahua Technology |
| نوع الثغرة | كشف مواد شهادات حساسة / إساءة استخدام سلسلة الثقة |
| ناقل الهجوم | الشبكة |
| المصادقة المطلوبة | لا |
| تفاعل المستخدم المطلوب | سلبي (UI:P) |
| متطلبات الهجوم | موجودة (AT:P) |
| الامتيازات المطلوبة | لا شيء |
| إصدار CVSS | 4.0 |
| النتيجة الأساسية لـ CVSS | 2.3 — منخفضة |
| متجه CVSS | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N |
| CWE | CWE-538 (إدراج معلومات حساسة في ملف أو دليل يمكن الوصول إليه خارجيًا) |
| قابلة للاستغلال عن بُعد | نعم |
| تاريخ النشر | 2026-06-10 |
| توافر الإصلاح | إصدارات البرنامج الثابت من 15 أبريل 2026 فصاعدًا (وفقًا لإرشادات البائع) |
نُشرت CVE-2026-29114 في 2026-06-10 إلى جانب إفصاحات Dahua PSI الأخرى من الدفعة نفسها. تختلف هذه المشكلات في آلية حدوثها وملف الأثر.
| السمة | CVE-2026-29114 (هذا الإعلان) | CVE-2026-29115 | CVE-2026-29116 |
|---|---|---|---|
| نتيجة CVSS 4.0 | 2.3 — منخفضة | 6.9 — متوسطة | 8.7 — مرتفعة |
| الأثر الأساسي | السرية + السلامة (منخفض) | التوافر (مرتفع) | التوافر (مرتفع) |
| المصادقة | غير مطلوبة | امتيازات عالية مطلوبة | غير مطلوبة |
| المنتجات المتأثرة | IPC فقط | IPC, SD | IPC، SD، NVR، XVR، EVS، VTO، VTH، ASI، TPC |
| حد إصدار الإصلاح | قبل 2026-04-15 | قبل 2026-03-26 | قبل 2026-03-26 |
| CWE | CWE-538 | CWE-617 | CWE-617 |
| تاريخ النشر (UTC) | 2026-06-10T05:44:50 | 2026-06-10T06:08:21 | 2026-06-10T06:16:34 |
الخلاصة للمدافعين: هذه الثغرة ليست خللًا في إعادة تشغيل الكاميرا. إنها مشكلة نظافة البنية التحتية للمفاتيح العامة (PKI) ومخزن الثقة. الترقيع مهم، لكن إزالة شهادات CA الخاصة بالأجهزة الموثوقة بشكل غير صحيح من أجهزة العملاء غالبًا ما تكون خطوة المعالجة الحاسمة.
| التاريخ | الحدث |
|---|---|
| ≤ 2026-04-15 | إصدارات البرنامج الثابت المعرضة للخطر لكاميرات IPC قيد التوزيع النشط |
| 2026-04-15 | حد إصلاح البائع — الإصدارات المنتجة في هذا التاريخ أو بعده خارج النطاق المتأثر (وفقًا للإعلان) |
| 2026-06-10T05:44:50 UTC | نشر CVE-2026-29114 |
| 2026-06-10T05:44:50 UTC | آخر تعديل لسجل NVD |
| 2026-06-10 | نُشرت CVE-2026-29115 وCVE-2026-29116 ذات الصلة لاحقًا في اليوم نفسه |
| مستمر | يجب على المشغّلين مراجعة مخازن الثقة وتواريخ إصدار البرنامج الثابت لكاميرات IPC |
أبلغت Dahua عن ثغرة في بعض طرز IPC يمكن من خلالها لطرف خارجي عن بُعد الحصول على مواد حساسة خاصة بسلطة الشهادات (CA) مرتبطة بالجهاز. يذكر البائع أن المهاجم قد يحصل على شهادة الجذر CA للجهاز.
يعتمد أمان X.509 PKI على بقاء المفاتيح الخاصة سرية واختيار مراسي الثقة بشكل متعمد. إذا:
عندها يمكن للمهاجم:
وفقًا للمتجه المنشور:
SC:N, SI:N, SA:N)غالبًا ما يظهر الضرر العملي على أنظمة العملاء التي تثق في CA المكشوفة، ولهذا السبب تُرفع مقاييس متطلبات الهجوم وتفاعل المستخدم في نموذج التقييم.
تأتي العديد من الأجهزة المدمجة مزوّدة بـ PKI مدمجة من المصنع أو مرفقة بالبرنامج الثابت لدعم:
| حالة الاستخدام | الدور النموذجي لـ CA الخاصة بالجهاز |
|---|---|
| واجهة الويب HTTPS | شهادة TLS موقّعة محليًا لـ https://camera-ip |
| ONVIF / SDK TLS | قنوات إدارة مشفّرة |
| إقران تطبيق الجوال | ثقة مخصصة لميزات P2P أو المساعدة السحابية |
| مثبّتات برامج العملاء | جذر مرفق "لجعل HTTPS يعمل" دون تكلفة CA عامة |
عندما تدفع المثبّتات أو الحزم البرمجية CA الخاصة بالجهاز إلى مخازن الثقة في Windows/macOS/Linux، تصبح كل شهادة موقّعة من تلك CA موثوقة مثل CA عامة — لتلك الأجهزة الطرفية.